【KAGOYAを装う偽メール】「通常とは異なるログインが検出されました」は偽物｜誘導先の偽管理画面はどこにもブロックされず放置中

HL-META: date=2026-11-05 | brand=KAGOYA | sender_geo=イラン | site_geo=unknown | spf=pass | dkim=unknown | cloaking=no

「通常とは異なるログインが検出されました」──サーバーやメールを管理している方にとって、これは心臓がキュッとなる件名ですよね。11月5日の午前中、KAGOYA（カゴヤ・ジャパン）を名乗るメールが届いたので、落ち着いて中身を確かめてみました。

届いたメールの内容

メールの文面は次のとおりです（読みやすいように並べ直しています）。

【件名】通常とは異なるログインが検出されました
【差出人の表示】Kagoya

管理者様、
未登録のデバイスから、お客様のアカウント（クライアントエリア）へのログインが検知されました。
警告：通常とは異なるログインの試行が検知されました。心当たりのないログインである場合、第三者がお客様のアカウントにアクセスした可能性があります。

IPアドレス：103.47.321.65
場所：日本、大阪
日時：2026年11月3日 03:41:40（日本標準時）
デバイス：未登録のデバイス

ご自身によるログインである場合は、そのままアカウントをご利用いただけます。
もし心当たりのないログインである場合は、アカウントの安全を確保するため、セッションを終了してください。
24時間以内に認証が完了しないセッションは無効になりますのでご注意ください。

[セッションを終了]
[サポートに連絡]

本メールはシステムより自動送信されています。返信はできません。

▲実際に届いたメールの画面（幅800px）

送信ルートと偽装の見抜きどころ

メールを詳しく調べると、「それらしく見せる工夫」と「ほころび」の両方が見えてきました。

差出人のドメイン	kacoya-it.com は、KAGOYAの綴りの「g」を「c」に替えた偽ドメインです。末尾の「-it」で、公式のサブサービスのように見せています。取得されたのは10日前（2026年10月25日）で、取得直後から名前を使い捨てる前提のドメインとみられます。
ドメインの状態	Whois（登録情報）では、ドメインのサービスは「Registered And No Website」（サイトなし）で、ネームサーバーも駐車（パーキング）用のものでした。メールを送るためだけに取られたドメインです。
送信元IP	195.211.44.198 は、イランのテヘランにある事業者（AS48715）の回線です。IP調査兵団では、プロバイダー名が「Sefroyek Pardaz Engineering PJSC」と表示されました。日本の会社を名乗りながら、実際の送信元はイランという食い違いがありました。
送信サーバーの前の経路	ヘッダーには、WIN-C3RPERHJDC4 という名前の機器が、104.239.66.107（フランスのホスティング事業者）から、送信サーバーへメールを渡した記録がありました。Windowsの初期設定のような名前なので、借りたサーバーなどを使っている可能性があります（断定はできません）。
送信者認証	SPFは「pass」でしたが、これは攻撃者が自分のドメインで設定を整えていたからです。passは「本物のKAGOYA」の証明にはなりません。DKIMも、署名は付いていますが同じ偽ドメインのもので、検証結果はヘッダーに出ておらず確認できていません。
メールの作り	ロゴは公式サイトの画像を直接読み込んでいます。一方で、ボタンの色の指定が壊れており、「サポートに連絡」は色のない文字だけで表示されていました。

本文のほころび──「321」という実在しない番号

本文には「IPアドレス：103.47.321.65」と書かれていました。ところが、IPアドレスの4つの数字は、どれも0から255までと決まっています。321は、世の中に存在しない番号です。「怪しいログインを検知した」と言いながら、その証拠になるIPが実在しないのは、なんとも頼りない話ですね。

ほかにも、気になる点がありました。

• ログインの日時が「11月3日 03:41:40」と、メールが送られた日（11月5日）の2日前になっています。2日前の出来事なのに、「24時間以内に」と急がせる点もちぐはぐです。
• 宛名は「管理者様」だけで、契約者の名前も契約番号もありません。
• メールのソースには、制作時のメモとみられる「正式に使用許可されたロゴURLを挿入」という一文が、そのまま残っていました。
• 送信元は「kacoya」、あとで出てくるリンク先は「kajga」と、KAGOYAの綴りを、2回とも違う形で間違えています。

なりすます相手の名前を、2回とも別の形で間違えるのは、ちょっと詰めが甘いですね。

リンク先を詳しく調べると

▲リンク先に現れた、管理画面風の偽ページ（アカウント名とパスワードを入力させる作り）

知っておきたいポイント

• KAGOYAは、アカウントやパスワードの入力を求めるお知らせを送らないと、公式ページで明言しています。
• 公式ページには、被害の例として、メールのパスワードが変更されたり、見覚えのないメールアドレスが作られたり、アカウントがスパムの送信に使われたり、管理画面の設定が書き換えられたりしたケースが挙げられています。
• 盗まれたアカウント情報は、さらに別のフィッシングメールの送信にも使われます。ひとりの被害が、次の被害につながってしまうのです。
• 差出人のドメインの綴りは、1文字ずつ確認することをおすすめします。「g」と「c」のように、よく似た文字に差し替えるのは、昔からよく使われる手口です。

届いたとき・入力してしまったときの対処法

届いただけの場合

• ボタンは押さずに削除してください。返信も不要です。
• ログインが気になる場合は、ご自分でブックマークした公式の管理画面から、ログイン履歴などを確認できます。

すでに入力してしまった場合（あなたのせいではありません。気づいた今から動けば大丈夫です）

• 管理画面のパスワードを、すぐに変更してください。同じパスワードを他のサービスで使っている場合は、そちらも変更します。
• 管理画面の設定や、メールアドレス・メールのパスワードに、身に覚えのない変更がないか確認してください。
• 不安なときは、メールのリンクではなく、公式の問い合わせ窓口に連絡して相談できます。
• 被害に遭ったかもしれないときは、警察相談専用電話 #9110 や、消費者ホットライン 188 にも相談できます。

公式の注意喚起ページ：

• 【重要 注意喚起】フィッシングメールにご注意ください（KAGOYA公式）
• KAGOYA 公式のお問い合わせフォーム

まとめ

Data Provided by Heartland-Lab Security Research Unit

IPアドレスの調査には IP調査兵団（ip-sc.net） を参照しています。